如何对进程创建进行控制？

如何HOOK NtCreateProcess？
如何HOOK W32API CreateProcess？
当我们启动一个新进程时，是那个进程调用的CreateProcess？
还是NtCreateProcess？
如何对进程创建进行控制？

请高手发言！！！

你是不是要监控新开启的进程,如果是关于这个,sdk好像有一个对应的东西可以实现,有时间了可以帮你找一下原来的代码.

如何HOOK NtCreateProcess？
如何HOOK W32API CreateProcess？
当我们启动一个新进程时，是那个进程调用的CreateProcess？
还是NtCreateProcess？
如何对进程创建进行控制？

写一个驱动，在驱动中用下面的函数设置进程通知例程：

  NTSTATUS
  PsSetCreateProcessNotifyRoutine(
    IN PCREATE_PROCESS_NOTIFY_ROUTINE  NotifyRoutine,
    IN BOOLEAN  Remove
    );
 

    // Create event for user-mode processes to monitor
    extension->ProcessEvent = IoCreateNotificationEvent (&uszProcessEventString, &extension->hProcessHandle);

    // Clear it out
    KeClearEvent(extension->ProcessEvent);

    // Set up callback routines
    ntStatus = PsSetCreateProcessNotifyRoutine(ProcessCallback, FALSE);


[编辑 -  12/6/04 by  fslife]

这种方法好像并不能拦截NtCreateProcess()

当我们启动一个新进程时，是那个进程调用的CreateProcess？
还是NtCreateProcess？
如何对进程创建进行控制？